Iron Fish объявила о прекращении всей оставшейся поддержки сети после обнаружения ошибки инфляции, датируемой началом 2019 года, которая позволила злоумышленнику многократно тратить одни и те же экранированные средства и выводить их через мост ChainPort.
Краткое содержание
- Iron Fish отследила эксплойт до своей реализации дерева Меркла и уязвимости, связанной с нуллификаторами заметок.
- Злоумышленник многократно тратил одни и те же заметки, прежде чем агрегировать средства и перевести их через ChainPort.
- Внутренние и внешние аудиты охватывали затронутый путь кода, но не выявили уязвимость.
- Команда заявила, что зафиксировала патч и включила постмортем перед архивированием своего репозитория.
Согласно объявлению Iron Fish, расследование началось после того, как команда несколькими днями ранее заметила аномальную активность, связанную с wIRON и ChainPort. Работая с оператором моста и изучая его логи, разработчики отследили проблему до самой блокчейн-сети Iron Fish.
В заявлении не раскрывалась общая сумма, созданная в результате эксплойта, стоимость, выведенная через мост, или план компенсации для затронутых держателей.
Iron Fish отследила повторные траты до уязвимости 2019 года
Команда отследила уязвимость до коммита кода начала 2019 года, реализующего стандартное дерево Меркла — структуру, используемую для организации и проверки блокчейн-записей.
В своем объяснении Iron Fish указала на взаимодействие между этой реализацией и способом вычисления нуллификатора заметки. Нуллификатор является частью механизма, используемого для предотвращения повторной траты экранированных средств после транзакции.
Из-за этой уязвимости злоумышленник мог тратить одну и ту же заметку более одного раза. Iron Fish заявила, что злоумышленник усугубил эксплойт, собрал полученные заметки и вывел средства через ChainPort.
«Этот путь кода входил в область как наших внешних, так и внутренних аудитов», — написала команда, признав при этом, что проверяющие пропустили ошибку.
Перед прекращением поддержки разработчики заявили, что зафиксировали патч и включили подробный постмортем в соответствующий пул-реквест. В объявлении закрытие и архивирование репозитория описывались как заключительные шаги.
Прекращение поддержки разработчиками само по себе не означает, что каждая независимо управляемая нода остановлена. В заявлении конкретно объявлялось о прекращении всей оставшейся поддержки сети.
Графики wIRON показывают обвал в торговой паре на Base
Скриншоты, которыми поделились трейдеры AzFlin и Abu, показали резкое падение отображаемой рыночной капитализации wIRON — обернутого токена, торгующегося на Base.
AzFlin описал снижение примерно с 200 миллионов долларов до 2000 долларов. Его скриншот пары wIRON/USDC на Aerodrome отображал рыночную капитализацию около 1900 долларов и всего 302 доллара ликвидности, а также предупреждение о том, что пара имеет очень низкую ликвидность.
Abu поделился отдельным графиком, показывающим отображаемую капитализацию примерно в 1600 долларов после обвала.
Эти цифры описывают оценку торговой пары обернутого токена. Они не устанавливают, что злоумышленник украл 200 миллионов долларов, и объявление Iron Fish не содержало оценки убытков в долларах.
Связь проекта с Base возникла до инцидента. В октябре 2025 года crypto.news ранее сообщал, что Base разрабатывает приватные транзакции после приобретения команды разработчиков Iron Fish в марте того же года.
Генеральный директор Coinbase Брайан Армстронг описал приобретение как привлечение команды в Base для работы над инфраструктурой конфиденциальности. В отчете описывалось использование Iron Fish доказательств с нулевым разглашением для сокрытия деталей транзакций и ее связи с другими блокчейнами через ChainPort.
Более ранние аудиты проверяли основной протокол и код майнинга
Опубликованная история безопасности Iron Fish включает аудит основного протокола от Inversed Tech, завершенный 1 июня 2023 года.
Проверка охватывала дизайн протокола, реализацию его механизма конфиденциальности на Rust и схемы доказательств с нулевым разглашением. Iron Fish перечислила 37 находок, включая три критические проблемы и одно предупреждение, и заявила, что выявленные проблемы были устранены и повторно проверены.
Одна критическая проблема, обнаруженная перед запуском основной сети, касалась изменяемости идентификаторов активов, что могло нарушить требование о балансе входов и выходов транзакций для каждого актива. Разработчики устранили эту проблему до запуска сети 20 апреля 2023 года.
Отдельная проверка FishHash была проведена с участием Trail of Bits. Заказанная в январе 2024 года, семидневная оценка изучала спецификацию алгоритма майнинга и реализации на CPU на Rust и C++.
Заявленная область охватывала производительность майнинга, требования к памяти и устойчивость к специализированному оборудованию.
Документированная роль ChainPort выходила за рамки перемещения активов. В уведомлении о безопасности от августа 2024 года Iron Fish Foundation описала проверку адресов моста, включая сверку со списками санкций Управления по контролю за иностранными активами США.
В том же уведомлении говорилось, что ChainPort может замораживать затронутые токены и расследовать подозрительную активность, с возможностью замораживать активы на определенных адресах или сжигать средства, идентифицированные как вредоносные.
